Laatst bijgewerkt: 1 september 2026

Privacybeleid

Dit beleid beschrijft hoe Buurtbest persoonsgegevens verwerkt in overeenstemming met de AVG.

1. Wie zijn wij

Buurtbest (KvK 42125614, btw-id NL005513703B06) is een online platform dat buren in staat stelt om klussen aan te bieden en spullen te huren. Verwerkingsverantwoordelijke is Buurtbest, gevestigd aan Roerdomp 38, 2411 LX Bodegraven, bereikbaar via buurtbest@gmail.com.

2. Welke persoonsgegevens verwerken wij

Accountgegevens: naam, e-mailadres, wachtwoord (versleuteld).
Gegevens bij inloggen met Google: als je een account aanmaakt of inlogt met Google, ontvangen wij van Google je e-mailadres, je naam, je profielfoto en je Google-account-ID. Wij ontvangen nooit je Google-wachtwoord.
Profielgegevens: bijnaam, avatar, buurt/postcodegebied, bio.
Verificatiegegevens: e-mailverificatie, optioneel telefoonnummer, en — alleen voor verhuurders die betalingen ontvangen — de identiteitscontrole van onze betaaldienstverlener (naam, geboortedatum, adres en bankrekening worden door Stripe verwerkt; Buurtbest slaat deze niet op).
Gegevens rond telefoonverificatie via SMS:
- je telefoonnummer en de datum waarop het nummer is geverifieerd;
- de verificatiecode, die wij niet als leesbare code opslaan maar uitsluitend als versleutelde vingerafdruk (SHA-256-hash), samen met het tijdstip waarop de code verloopt;
- een versleutelde vingerafdruk (hash) van het IP-adres waarmee een code is aangevraagd — het IP-adres zelf wordt hierbij niet bewaard;
- een SMS-verzendlogboek met een gemaskeerd telefoonnummer (alleen de laatste cijfers zijn zichtbaar), het doel van het bericht, de verzendstatus en het tijdstip.
Advertentie- en gespreksinhoud: titel, beschrijving, foto's, berichten, reviews.
Locatiegegevens: postcodegebied en een geanonimiseerde ("fuzzy") coördinaat (~150m) voor de kaart. Exacte coördinaten worden niet publiek getoond.
Betaalgegevens: transacties worden verwerkt door Stripe. Wij zien alleen status, bedragen en referentie-ID's.
Technische gegevens: IP-adres, browsertype, apparaatinformatie en cookies die nodig zijn voor de werking van de site.
Push- en web-push-tokens: als je pushnotificaties aanzet slaan wij een door je browser of besturingssysteem uitgegeven push-token op, gekoppeld aan je account, zodat wij meldingen (bijv. nieuwe berichten of noodklussen in de buurt) kunnen sturen. Je kunt pushmeldingen op elk moment uitzetten in je apparaat- of browserinstellingen.

2a. Geautomatiseerde inhoudsfiltering van chatberichten

Om Gebruikers te beschermen tegen misbruik, oplichting en het onbedoeld delen van persoonsgegevens, scannen wij chatberichten geautomatiseerd op:

PII-detectie: patronen die op telefoonnummers, e-mailadressen, IBAN's, adressen of andere directe contactgegevens lijken worden gemarkeerd of gemaskeerd binnen de chat.
Misbruik-signalen: taalpatronen die kunnen duiden op fraude, intimidatie, discriminatie of onrechtmatige inhoud.

Deze geautomatiseerde controle is een hulpmiddel. Er worden geen geautomatiseerde besluiten met rechtsgevolg genomen op basis van deze scans (art. 22 AVG). Wanneer een signaal aanleiding geeft tot een moderatie-actie (zoals het verbergen van een bericht, een waarschuwing of een tijdelijke accountbeperking), vindt menselijke review plaats door een getraind Buurtbest-teamlid voordat de actie definitief wordt. Je kunt een moderatie-beslissing altijd aanvechten via buurtbest@gmail.com.

3. Waarvoor gebruiken wij deze gegevens

Account aanmaken en beheren (grondslag: uitvoering overeenkomst).
Inloggen met Google: het aanmaken van je account en het herkennen van jou bij een volgende keer inloggen (grondslag: uitvoering overeenkomst).
Faciliteren van klussen, verhuur, boekingen en betalingen.
Veilige betaalafhandeling en fraudepreventie (gerechtvaardigd belang).
Telefoonverificatie via SMS: het bevestigen dat je toegang hebt tot het opgegeven mobiele nummer, zodat buren met een echt en te bereiken account met elkaar te maken hebben (grondslag: uitvoering overeenkomst en beveiliging van accounts).
SMS-verzendlogboek en gehashte IP-adressen: het voorkomen van misbruik en fraude (bijvoorbeeld iemand die massaal SMS-berichten laat versturen) en het beheersen van onze verzendkosten (grondslag: gerechtvaardigd belang). Het gehashte IP-adres gebruiken wij uitsluitend om het aantal codeaanvragen per internetverbinding te beperken. Wij gebruiken het niet om je te volgen, niet om profielen op te bouwen en niet voor advertenties of analytics.
E-mail- en pushnotificaties over jouw activiteit (grondslag: uitvoering overeenkomst; marketing alleen na toestemming).
Wettelijke verplichtingen (belasting, fraudebestrijding).

4. Verwerkers en ontvangers

Supabase — onze backendleverancier. Hier staat de database van Buurtbest (je account, advertenties, berichten en boekingen) en hier wordt het inloggen zelf afgehandeld (authenticatie: het controleren van je e-mailadres en wachtwoord of je Google-login en het uitgeven van je beveiligde sessie). Hosting vindt plaats binnen de EU.
Stripe (betalingen, identiteitscontrole van verhuurders, uitbetalingen) — eigen privacybeleid van Stripe van toepassing. Stripe kan gegevens buiten de Europese Economische Ruimte (EER) verwerken; deze doorgifte vindt plaats op basis van de EU Standard Contractual Clauses (SCC's) en, waar van toepassing, adequaatheidsbesluiten van de Europese Commissie.
Twilio (verzending van de SMS-berichten voor telefoonverificatie), gevestigd in de Verenigde Staten. Twilio ontvangt hiervoor je telefoonnummer en de tekst van het verificatiebericht. Deze doorgifte buiten de EER vindt plaats op basis van de EU Standard Contractual Clauses (SCC's) en, waar van toepassing, het EU-VS Data Privacy Framework.
Google (Google Sign-In), wanneer je kiest voor inloggen met Google. Google verwerkt daarbij het feit dat je op Buurtbest inlogt en deelt met ons je e-mailadres, naam, profielfoto en Google-account-ID. Google kan gegevens buiten de EER verwerken; deze doorgifte vindt plaats op basis van de EU Standard Contractual Clauses (SCC's) en, waar van toepassing, het EU-VS Data Privacy Framework. Op het gebruik van je Google-account is het privacybeleid van Google van toepassing.
Postmark/Lovable Email (transactionele e-mail via notify.buurtbest.com).
Cloudflare (hosting/CDN). Cloudflare kan gegevens buiten de EER verwerken; deze doorgifte vindt plaats op basis van de EU Standard Contractual Clauses (SCC's) en, waar van toepassing, adequaatheidsbesluiten van de Europese Commissie.

Wij verkopen geen gegevens aan derden.

5. Bewaartermijnen

Actieve accountgegevens: zolang je account bestaat.
Financiële gegevens: 7 jaar (wettelijk).
Berichten en advertenties: tot 2 jaar na laatste activiteit.
Verificatiecodes voor telefoonverificatie (de gehashte code en het gehashte IP-adres): 24 uur. Daarna worden deze rijen automatisch verwijderd door een dagelijkse opruimtaak.
SMS-verzendlogboek (gemaskeerd nummer, doel, status, tijdstip): 12 maanden, waarna het automatisch wordt verwijderd.
Verwijderde accounts: profiel, advertenties en overige persoonlijke gegevens worden direct bij de verwijdering gewist of geanonimiseerd; de resterende gegevens en de inloggebruiker worden binnen 30 dagen automatisch definitief gewist. Die termijn bestaat alleen om lopende verplichtingen (een actieve boeking of een nog niet uitbetaalde betaling) af te ronden. Hierop geldt één uitzondering: de gegevens van een blokkade (zie hoofdstuk 8) blijven bewaard.
Gegevens van een blokkade (de gehashte vingerafdruk van het telefoonnummer, de reden en de datum): bewaard zolang de blokkade geldt, ook na verwijdering van het account.

6. Jouw rechten (AVG)

Je hebt recht op inzage, rectificatie, verwijdering, beperking, bezwaar en dataportabiliteit. Verzoeken kun je richten aan buurtbest@gmail.com. Je hebt ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Wil je je account en gegevens laten verwijderen? Dat doe je zelf in de app of op de site onder Profiel → Instellingen → Account verwijderen; er is geen contact met ons nodig en wij hoeven het niet goed te keuren. Op Account en gegevens verwijderen staat stap voor stap hoe dat werkt, welke gegevens worden verwijderd en welke gegevens wij wettelijk moeten bewaren. Is je account geblokkeerd, dan vormen de gegevens van die blokkade hierop een uitzondering: die blijven bewaard, ook nadat je account is verwijderd. In hoofdstuk 8 leggen wij uit waarom.

7. Cookies en vergelijkbare technieken

Buurtbest zelf plaatst alleen cookies en gebruikt alleen lokale opslag in je browser die nodig zijn om de site te laten werken: het onthouden van je login en sessie, en het onthouden van je keuze in de cookiemelding. Wij gebruiken geen analytics-, advertentie- of trackingcookies. Zouden wij analytics willen toevoegen, dan doen wij dat alleen na jouw expliciete toestemming.

Wel goed om te weten: wanneer je een betaling doet, gaat de betaalpagina via Stripe. Stripe plaatst op zijn eigen betaalpagina's cookies die onder andere dienen voor beveiliging en fraudepreventie. Dat gebeurt onder de verantwoordelijkheid en het privacybeleid van Stripe. Hetzelfde geldt voor het inlogscherm van Google als je kiest voor inloggen met Google.

8. Blokkeren van gebruikers

Buurtbest kan gebruikers blokkeren die de regels overtreden, bijvoorbeeld bij fraude, intimidatie of onrechtmatige advertenties. Als wij een account blokkeren, plaatsen wij het telefoonnummer van dat account op een blokkeerlijst. Wij bewaren dat nummer niet leesbaar, maar uitsluitend als onomkeerbare versleuteling (een SHA-256-hash).

Wij doen dit om te voorkomen dat een geblokkeerde gebruiker zich direct opnieuw aanmeldt met hetzelfde telefoonnummer. Op de blokkeerlijst staat alleen die versleutelde vingerafdruk van het nummer, samen met de reden en de datum van de blokkade. Het telefoonnummer zelf is niet uit de vingerafdruk te herleiden; wij kunnen alleen controleren of een nieuw aangemeld nummer op de lijst voorkomt. De grondslag is ons gerechtvaardigd belang: de veiligheid van de andere gebruikers van het platform. Alleen de beheerder van Buurtbest kan deze gegevens inzien.

Deze gegevens blijven bewaard, ook wanneer de geblokkeerde gebruiker zijn account laat verwijderen. Dat is een bewuste uitzondering op de normale verwijdering van accountgegevens: zou de blokkeerlijst meeverdwijnen met het account, dan kan iemand een blokkade eenvoudig omzeilen door het account te verwijderen en zich met hetzelfde nummer opnieuw te registreren. De blokkade zou daarmee zinloos zijn.

Ben je geblokkeerd en vind je dat onterecht? Dan kun je in de app een verzoek tot deblokkering indienen, of contact opnemen via buurtbest@gmail.com. Keuren wij dat verzoek goed, dan heffen wij de blokkade op en verwijderen wij de vingerafdruk van je telefoonnummer alsnog van de blokkeerlijst.

9. De Buurtbest-app (Android)

Naast de website is Buurtbest beschikbaar als Android-app, die wij distribueren via de Google Play Store. De app is dezelfde applicatie als de website in een app-omgeving: alle verwerkingen, doeleinden, bewaartermijnen en derde partijen die in dit beleid staan beschreven, gelden onverkort en ongewijzigd voor de app. Wij verzamelen in de app geen extra gegevens.

Voor het downloaden, installeren en bijwerken van de app verwerkt Google zelf gegevens over jouw Google-account en apparaat, als zelfstandige verwerkingsverantwoordelijke. Dit gebeurt door Google LLC en, voor de distributie via Google Play in Europa, Google Commerce Limited (Ierland). Op die verwerking is het privacybeleid van Google van toepassing; wij hebben daar geen invloed op en ontvangen van Google geen installatie- of betaalgegevens uit de Play Store.

Wil je de app-toegang beëindigen, dan kun je de app van je apparaat verwijderen. Het verwijderen van de app verwijdert je account niet: dat verwijder je zelf in de app of op de website bij je profielinstellingen. Kun je niet meer inloggen, dan kun je een verzoek sturen aan buurtbest@gmail.com.

10. Wijzigingen

Wij kunnen dit beleid aanpassen. Bij ingrijpende wijzigingen wordt je per e-mail geïnformeerd.

Zie ook onze algemene voorwaarden en de uitleg over veilig betalen.